{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% dos pacotes Python no reposit\u00f3rio PyPI cont\u00eam c\u00f3digo potencialmente inseguro","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Um grupo de pesquisadores da Universidade de Turku (Finl\u00e2ndia) publicou os resultados de uma an\u00e1lise de pacotes no reposit\u00f3rio PyPI em busca do uso de constru\u00e7\u00f5es potencialmente perigosas que podem levar ao surgimento de vulnerabilidades. Durante a an\u00e1lise de 197 mil pacotes, foram identificados 749 mil problemas potenciais de seguran\u00e7a. Em 46% dos pacotes, h\u00e1 pelo menos um desses problemas. Entre os problemas mais comuns est\u00e3o falhas relacionadas ao tratamento de exce\u00e7\u00f5es e ao uso de recursos que permitem a inje\u00e7\u00e3o de c\u00f3digo. <\/p>\n
Das 749 mil problemas identificados, 442 mil (41%) foram marcados como menores, 227 mil (30%) como problemas de risco moderado e 80 mil (11%) como perigosos. Alguns pacotes se destacam, apresentando milhares de problemas: por exemplo, no pacote PyGGI foram identificados 2589 problemas, principalmente relacionados ao uso da constru\u00e7\u00e3o \"try-except-pass\"; j\u00e1 no pacote appengine-sdk, foram encontrados 2356 problemas. Um grande n\u00famero de problemas tamb\u00e9m est\u00e1 presente nos pacotes genie.libs.ops, pbcore e genie.libs.parser. <\/p>\n
\u00c9 importante notar que os resultados foram obtidos com base em uma an\u00e1lise est\u00e1tica automatizada, que n\u00e3o leva em considera\u00e7\u00e3o o contexto de uso das diversas constru\u00e7\u00f5es. O desenvolvedor da ferramenta bandit, que foi utilizada para escanear o c\u00f3digo, expressou a opini\u00e3o de que, devido ao n\u00famero relativamente alto de falsos positivos, os resultados da verifica\u00e7\u00e3o n\u00e3o devem ser considerados diretamente como vulnerabilidades sem uma revis\u00e3o manual adicional de cada problema. <\/p>\n
Por exemplo, o analisador considera como um problema de seguran\u00e7a o uso de geradores de n\u00fameros aleat\u00f3rios e algoritmos de hash n\u00e3o confi\u00e1veis, como o MD5, enquanto no c\u00f3digo tais algoritmos podem ser usados para fins que n\u00e3o afetam a seguran\u00e7a. O analisador tamb\u00e9m considera um problema qualquer manipula\u00e7\u00e3o de dados externos em fun\u00e7\u00f5es inseguras, como pickle, yaml.load, subprocess e eval, mas esse uso n\u00e3o est\u00e1 necessariamente relacionado ao surgimento de vulnerabilidades, e na pr\u00e1tica a utiliza\u00e7\u00e3o dessas fun\u00e7\u00f5es pode ser implementada sem risco \u00e0 seguran\u00e7a. <\/p>\n
Entre as verifica\u00e7\u00f5es utilizadas no estudo: <\/p>\n
\n
Uso de fun\u00e7\u00f5es potencialmente inseguras como exec, mktemp, eval, mark_safe, etc.\n
Configura\u00e7\u00e3o insegura de permiss\u00f5es para arquivos.\n
Conex\u00e3o de socket de rede a todas as interfaces de rede.\n
Uso de senhas e chaves codificadas no c\u00f3digo.\n
Uso de um diret\u00f3rio tempor\u00e1rio predefinido.\n
Uso de pass e continue em manipuladores de exce\u00e7\u00f5es do tipo catch-all;\n
Execu\u00e7\u00e3o de aplica\u00e7\u00f5es web baseadas no framework Flask com o modo de depura\u00e7\u00e3o ativado.\n
Uso de m\u00e9todos inseguros de desserializa\u00e7\u00e3o de dados.\n
Uso de fun\u00e7\u00f5es de hash MD2, MD4, MD5 e SHA1.\n
Uso de cifradores inseguros DES e modos de criptografia.\n
Uso de uma implementa\u00e7\u00e3o insegura de HTTPSConnection em algumas vers\u00f5es do Python.\n
Especifica\u00e7\u00e3o do esquema file:\/\/ em urlopen.\n
Uso de geradores de n\u00fameros pseudool\u00f3gicos durante tarefas criptogr\u00e1ficas.\n
Uso do protocolo Telnet.\n
Uso de parsers XML inseguros. <\/ul>\n
Al\u00e9m disso, \u00e9 importante notar a descoberta de 8 pacotes maliciosos no diret\u00f3rio PyPI. Antes da remo\u00e7\u00e3o, os pacotes problem\u00e1ticos foram baixados mais de 30 mil vezes. Para ocultar a atividade maliciosa e contornar os avisos de analisadores est\u00e1ticos simples, os pacotes usaram codifica\u00e7\u00e3o de blocos de c\u00f3digo com Base64 e execu\u00e7\u00e3o ap\u00f3s decodifica\u00e7\u00e3o atrav\u00e9s da chamada eval. <\/p>\n
Nos pacotes noblesse, genesisbot, are, suffer, noblesse2 e noblessev2 foi identificado c\u00f3digo para interceptar n\u00fameros de cart\u00e3o de cr\u00e9dito e senhas armazenadas nos navegadores Chrome e Edge, bem como para transmitir tokens de contas do aplicativo Discord e enviar dados do sistema, incluindo capturas de tela do conte\u00fado da tela. Nos pacotes pytagora e pytagora2 havia a possibilidade de carregar e executar c\u00f3digo execut\u00e1vel de terceiros. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"